• 목록
• 답변
• 글쓰기
• 게시판 리스트 옵션
  • 수정
  • 삭제

Dalším zásadním problémem je délka platnosti tokenu. Pokud nastavíte expiraci na dny nebo týdny, vytváříte časově neomezené zadní vrátka. Útočník, který token získá, ho může používat dlouho. Řešením jsou krátkodobé tokeny s dobou platnosti byt v paneláku minutách. Pro pohodlí uživatele pak použijte takzvaný refresh token, který je uložen na bezpečném místě, například v HttpOnly cookie, a slouží pouze k získání nového přístupového tokenu. Tyto dva typy tokenů by měly mít odlišné struktury i doby platnosti.

Reducery testujte jako čisté funkce Reducery jsou v Reduxu čisté funkce – dostanou aktuální stav a akci, vrátí nový stav. To je ideální pro testování bez jakékoliv integrace. Stačí importovat reducer a volat ho s různými akcemi. Například pro reducer, který spravuje seznam položek, si připravíte počáteční stav, zavoláte akci pro přidání a ověříte, že se položka skutečně objevila. Důležité je neměnit původní stav – test by měl selhat, pokud reducer mutuje vstupní objekt. Pro kontrolu používejte hlubokou rovnost, ne referenční porovnání.

Začněte u reducerů. Reducer je čistá funkce, takže jeho test je jen o předání stavu a akce. Vytvořte si v testu počáteční stav, zavolejte reducer s konkrétní akcí a porovnejte výstup. Pozor na to, abyste nemutovali vstupní stav – vždy vracejte nový objekt. Častá chyba je testovat přes celý kombinovaný root reducer, jak zařídit malou kuchyni i když potřebujete ověřit jen jednu část. Testujte každý slice zvlášť, usnadníte si hledání chyby.

Když chcete token odvolat před vypršením, narazíte na limitace JWT. Neexistuje přímý mechanismus, jak token zneplatnit, pokud to neuděláte centrálně. Řešením je verze tokenu, kterou porovnáte s hodnotou v databázi, nebo krátká životnost a rychlé obnovení. V praxi se vyplatí kombinovat JWT s černou listinou pro vybrané případy, jako je změna hesla nebo odhlášení uživatele. Jinak riskujete, že odhlášený uživatel bude mít stále platný token.

Druhy rekonstrukce koupelny krok za krokem je casovy ramec. Retrospektiva by nemela trvat dele než 60 minut, jinak pozornost klesa. Rozdelte si cas na tri casti: 15 minut na sběr podnetu, 20 minut na diskuzi a hlasovani o prioritach, 25 minut na tvorbu konkretnich akci. Pro sběr podnetu pouzijte techniku „Stop, Start, Continue". Kazdy clen timu napise na lepici papirky, co ma prestet delat, co zacit delat a co pokracovat. Tato struktura nuti lidi premyslet v kategorich, ktere vedou k akci, ne jen k stiznostem.

V neposlední řadě pozor na algoritmus podpisu. Knihovny pro JWT někdy umožňují v hlavičce tokenu specifikovat typ algoritmu, což vede ke známému zranitelnosti „algorithm confusion". Pokud server podporuje symetrický i asymetrický podpis, může útočník podepsat token veřejným klíčem, který server považuje za tajný klíč. Tomu se vyhnete tím, že povolíte pouze jeden konkrétní algoritmus, a to nejlépe asymetrický, jako je RS256. Také si pohlídejte, že server nepřijímá tokeny bez podpisu nebo s prázdným podpisem.

Jak testovat async akce bez renderování komponenty U asynchronních akcí, typicky s thunk middleware, je klíčové mockovat API volání. Nikdy v testu nespouštějte skutečný fetch nebo axios. Místo toho si připravte mock funkci, která vrací předem definovanou odpověď. V testu pak zavoláte thunk s parametry a předáte mu tři funkce: dispatch, getState a extra argument (pokud ho používáte). Po dokončení akce ověříte, že dispatch byl zavolán s očekávanými akcemi ve správném pořadí.

Pro hladký běh testů si nastavte testovací prostředí tak, aby nezáleželo na skutečném API. Můžete použít knihovnu, která zachytává HTTP požadavky a vrací předem definované odpovědi. Tím se vyhnete problémům sítě a testy budou deterministické. When you loved this informative article and you would like to receive much more information relating to Ingeekswetrust.De please visit the page. Při psaní testů pro async akce se zaměřte na to, co se děje po dokončení – jaké akce jsou dispatchovány (například success nebo error) a jak se změní stav. Vyhnete se tak testům, které ověřují jen to, že se něco stalo, ale neříkají, co přesně.

Výběr prvního programovacího jazyka často vypadá jako volba mezi svobodou a jistotou. Někdo začíná v Pythonu, protože ho používá polovina internetu, jiný zkouší JavaScript kvůli webu a další sáhne po C#, protože ho učí na škole. Důležité není vybrat jazyk, který je „nejlepší na světě", ale ten, který vám sedne způsobem myšlení a umožní dotáhnout první funkční program do konce. Pokud to myslíte s programováním vážně, první jazyk není manželství na celý život – je to spíš první kolo na učební jízdy.

Kdy se JWT stává slabým místem místo ochrany? Jednou z nejčastějších chyb je ukládání citlivých údajů do payloadu. JWT je sice podepsaný, ale ne šifrovaný, takže každý, kdo token získá, si může přečíst jeho obsah. Pokud do payloadu vložíte e-mail, roli uživatele nebo dokonce ID relace, vystavujete tato data riziku odposlechu. Místo toho do tokenu patří pouze minimum informací, jako je identifikátor uživatele a čas expirace. Vše ostatní si API může dohledat v databázi podle ID.